医疗器械以及为什么网络安全不容谈判

本文最初发表于 New Electronics。

为了协助这项工作，美国食品和药物管理局 (FDA) 于 2005 年发布了第一份关于医疗器械网络安全的指南，重点关注具有现成 (OTS) 软件的联网医疗器械。

尽管如此，多年来，FDA 的上市前指南已经发生了重大变化，从 2014 年的 9 页文件扩展到 2023 年的 57 页综合指南。仅这一演变就表明了网络安全在医疗器械行业中日益重要的重要性。

然而，2023 年综合拨款法案将FDA 传统上关于医疗器械网络安全的非正式建议转变为正式的、基于法律的要求。再加上 FDA 2023 年更新的医疗器械网络安全指南：质量体系注意事项和上市前提交内容，这一发展标志着医疗器械网络安全标准的提高。总之，这些变化代表了医疗器械网络安全监管环境的重大进步。

确保医疗器械保持“网络安全”

正如世界各地的倡议所表明的那样，这些期望并非US 所独有。例如，EU 的 2022/2555 网络和信息系统安全指令 (NIS2) 现在要求医疗产品（包括化学品 (API)、药品和医疗器械）制造商实施全面的网络安全风险管理措施并遵守报告要求。

随后，在澳大利亚，治疗用品管理局 (TGA) 发布了 2022 年医疗器械行业网络安全指南，要求采用全产品生命周期 (TPLC) 方法来实现网络安全。这种方法要求制造商将渗透测试、威胁建模和其他主动措施纳入其风险管理评估流程。

在新加坡，医疗器械网络安全标签计划 (CLS-MD) 引入了基于医疗器械网络安全条款的评级系统。根据该计划，医疗器械根据其网络安全稳健性进行评估和标记，为公众和医疗保健提供者提供有价值的信息。该标签系统可以做出明智的购买决策，使利益相关者能够识别和选择符合高网络安全标准的医疗器械。

这些全球举措反映了国际社会对医疗器械行业强有力的网络安全措施重要性的日益增长的共识。

互联互通的优点并非没有缺点

当医疗器械包含软件时，特别是如果它可以通过电子方式连接到其他设备或网络，优先考虑网络安全就变得至关重要。现代医疗环境中医疗器械的互联性，在软件支持的智能医疗器械和向物联网 (IoT) 的转变的推动下，无可否认地提供了方便、及时的护理的好处。

例如，可以远程监控心脏植入物的患者，从而减少频繁去看医生的需要。同样，管理血糖水平的新工具允许血糖仪和胰岛素泵无缝交互。医院还采用更多互连设备，通过无缝共享数据来提高护理和效率。然而，与此同时，如果医疗保健系统存在薄弱环节，这也使得医疗器械更容易受到网络攻击和安全漏洞的影响。

风险的增加源于针对医疗机构的恶意行为者利用易受攻击的设备、访问患者记录、扰乱运营、索要赎金或渗透网络。例如，胰岛素泵、心脏起搏器和可穿戴设备等设备由于实时跟踪患者数据并将信息立即传输给患者和医生，因此面临更高的脆弱性。因此，强大的网络安全措施对于保护这些关键设备并确保患者安全至关重要。

对开发人员的实际影响

FDA 的网络安全指南和监管范围涵盖广泛的设备软件功能，包括数据存储、传输和分析。任何具有可升级软件、USB 端口甚至光盘技术的医疗或诊断设备现在都被归类为连接设备并受到新法规的约束。

FDA 和 UK 的 NCSC 安全设计原则都强调制造商考虑更广泛的生态系统和设备互连性的重要性。

安全目标不应孤立运行，而应集成到医疗器械的整个系统架构中。

医疗器械制造商 (MDM) 应在设备发布之前就对其进行威胁建模，以及时识别安全威胁和漏洞，对其进行评估并确定优先级，以确保设备在投放市场之前是安全的。创建关键问题的优先级列表使团队能够在提交之前有效地处理和解决关键问题。此外，它还建立了安全注意事项的记录日志，团队可以在未来的迭代中系统地解决这些问题。

解决系统性问题也很重要，以避免以后需要进行单一修复。这可能涉及修订标准操作程序、调整质量管理体系以及制定涵盖整个开发生命周期的全面安全策略，以满足网络安全标准和监管要求。

最终，如果未能满足 FDA 为网络安全措施制定的明确标准，不仅会使患者安全面临风险并损害数据完整性，而且还可能导致市场准入延迟，从而导致财务损失和声誉损害。同样，在 EU 中，制造商未能遵守《网络弹性法案》可能会导致产品被从单一市场中移除，或面临与《通用数据保护条例》(GDPR) 中规定的金额相当的巨额罚款。

为了降低风险，FDA 建议实施“软件物料清单”(SBOM) 计划，作为其软件安全和供应链管理的基本要素。 SBOM 提供设备内所有软件组件的综合列表，从而能够有效跟踪和管理漏洞。

了解并符合目标市场的网络安全要求和期望对于制造商有效应对监管环境并确保其医疗器械的安全性和完整性至关重要。

预防胜于治疗

值得注意的是，网络安全不应该是事后才想到的，而应该融入到医疗器械开发的基础中。

网络安全必须成为企业各个方面的优先事项，包括预算分配、资源分配、培训等。这不仅仅是遵守法规和避免处罚；而是要认识到，只有最终用户能够信任与他们的生活紧密结合的设备，先进互联设备的真正优势才会显现出来。这些设备背后的软件如果没有考虑到网络安全，就可能容易受到网络威胁，从而使依赖它们的患者面临同样的风险。这违背了目的。

在设计安全策略时还必须解决系统性问题，以避免后续修复。充分重视此类流程将使开发商能够预见任何潜在风险，并提前采取纠正措施，最终避免潜在的声誉损害、财务损失、市场延误和患者安全问题的麻烦。